בירור | האם אלי אקספרס שומרת נתוני אשראי?

[יש שר]

האם אלי אקספרס שומרת נתוני אשראי, ואם כן איך מוחקים אותם מאלי אקספרס?

[cfopuser]

@יש-שר או שתיכנס ממצב אורח או אנונימי מלכתחילה
או שתלחץ F12 קליק ימני על כפתור הרענון ותבחר את האופציה של ריקון הCache
אבל אני לא חושב שזה קשור לאלי אקספרס אני חושב שזה נשמר לך בדפדפן
במקרה כזה תלחץ על ההיסטוריה ותלחץ על ריקון מידע ותבחר מתקדם ואז תבחר נתוני מילוי אוטומטי

[הרב של השכונה]

@יש-שר בדרך כלל כעבור כמה פעמים זה שומר כבר אוטומטי ואם אני לא טועה זה מבקש ממך בפעם השניה אחרי הפעם הראשונה שהגדרת את האשראי האם להשתמש לפעמים הבאות
ואם תרצה למחוק פשוט למחוק תכנס לחשבון ותמחק את האשראי שהוספת..
הכי מומלץ ובטוח פיפאל אחרי הכל

[סוף הרחוב]

@יש-שר כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

האם אלי אקספרס שומרת נתוני אשראי, ואם כן איך מוחקים אותם מאלי אקספרס?

לא קונים בעלי אקספרס שלא דרך פייפאל.
ולא בשום אתר, אלא אם דף הסליקה מאובטח ומוצפן ע"י חברה מוכרת.

חוץ מזה שזה חובה בשביל ביטחון הכסף שלך, זה גם (ובעיקר) מעיד על אופי החנות. חנות עם בעלים נורמלי, מחזיק באישורים הרלוונטיים עבור אחזקת ספק סליקה ומסוף סליקה דרך חברה מוכרת ורשמית.

דובר על זה רבות בפורום.

ולגופה של תשובה שניתנה לעיל: במידה והם אכן שמרו, לא יעזור כלום לרפרש ולנקות את הדף, כי זה נשמר (אם נשמר..) בשרתים שלהם.

[צדיק תמים]

@סוף-הרחוב יש גוגל חברה שהנורמלי כבר משתנה
גוגל לדוגמה לא משתמשת בספק סליקה חיצוני,נכון? לעלי יש הרבה יותר לקוחות משלמים מגוגל

[סוף הרחוב]

@צדיק-תמים כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

גוגל לדוגמה לא משתמשת בספק סליקה חיצוני,נכון? לעלי יש הרבה יותר לקוחות משלמים מגוגל

מה הקשר בין כמות הלקוחות לאמינות החברה?

ובלי קשר, מי גילה לך שיש לעלי אקספרס לקוחות יותר מגוגל..?

[צדיק תמים]

@סוף-הרחוב כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

@צדיק-תמים כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

גוגל לדוגמה לא משתמשת בספק סליקה חיצוני,נכון? לעלי יש הרבה יותר לקוחות משלמים מגוגל

מה הקשר בין כמות הלקוחות לאמינות החברה?

קודם כל יש קשר, כמה שהחברה יותר גדולה יש לה יותר מה להפסיד. אני לא חושש שעלי יחייבו לי את הכרטיס סתם ככה (כן כדאי דרך פייפאל כי זה נותן לי עוד מישהו שיכול להכריע לטובתי במחלוקת).
אבל הנקודה פה לא היתה אמינות אלא שהכלל של "אל תשמור פרטי אשראי זה מסוכן עדיף שתשאיר את ההתעסקות הזאת לחברות שזה הביזנס שלהם" נכון עד גודל מסוים, כשיש לך משאבי פיתוח והיקפי סליקה אדירים כמו של גוגל או עלי אקספרס/בבא זה כבר כן הגיוני לנהל את זה לבד
כנראה שיש פחות סיכון שאשראי ידלוף מעליאקספרס מאשר מחלק או כל חברות הסליקה הישראליות המוכרות והרשמיות

ובלי קשר, מי גילה לך שיש לעלי אקספרס לקוחות יותר מגוגל..?

לא בדקתי, אבל רוב השירותים של גוגל לא גובים כסף מהלקוח קצה אלא ממפרסמים. בכל מקרה זה לא משנה למי יש יותר הנקודה היא שבגודל מסוים זה כבר כן הגיוני לנהל את זה לבד

[סוף הרחוב]

@צדיק-תמים כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

כנראה שיש פחות סיכון שאשראי ידלוף מעליאקספרס מאשר מחלק או כל חברות הסליקה הישראליות המוכרות והרשמיות

לא בדקתי, אבל רוב השירותים של גוגל לא גובים כסף מהלקוח קצה אלא ממפרסמים. בכל מקרה זה לא משנה למי יש יותר הנקודה היא שבגודל מסוים זה כבר כן הגיוני לנהל את זה לבד

לגבי הפיסקה הראשונה: אתה טועה בבסיס העובדות...
לחברות הסליקה אין שום גישה לפרטי האשראי של הלקוח! גם לא לחברה עצמה. וזה בעצם תקן pci שחברות האשראי מחייבות, חוץ מתעודת ssl על האתר או הלינק המפנה לדף התשלום.. ולכן חברה, גדולה ככל שתהיה, שמנהלת לעצמה את סליקת האשראי שלה, גם אם יש לה מליארד לקוחות ולמקבילה שלה שמשתמשת עם שירותי הצפנה יש לקוח אחד, אצל השניה יהיה בטוח יותר, כי מהשניה אין שום אפשרות טכנית לדליפה, בשונה מחברה שמנהלת את הסליקה שלה עצמאית, בלי קשר לגודל שלה..

ולגהי הפיסקה השניה: אני גם לא יודע למי יש יותר לקוחות.. מה שאני כן יודע, שאם אני הקטן משלם 18$ לחודש לגוגל, אני משוכנע שיש עוד מאות אלפי ויותר של בעלי עסקים שמשלמים את אותו הסכום וצפונה...

[צדיק תמים]

@סוף-הרחוב כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

לחברות הסליקה אין שום גישה לפרטי האשראי של הלקוח! גם לא לחברה עצמה. וזה בעצם תקן pci שחברות האשראי מחייבות, חוץ מתעודת ssl על האתר או הלינק המפנה לדף התשלום.. ולכן חברה, גדולה ככל שתהיה, שמנהלת לעצמה את סליקת האשראי שלה, גם אם יש לה מליארד לקוחות ולמקבילה שלה שמשתמשת עם שירותי הצפנה יש לקוח אחד, אצל השניה יהיה בטוח יותר, כי מהשניה אין שום אפשרות טכנית לדליפה, בשונה מחברה שמנהלת את הסליקה שלה עצמאית, בלי קשר לגודל שלה..

לתקן PCI יש רמות, חברות סליקה בדיוק בגלל שהן כן מקבלות את פרטי האשראי הגולמיים, ובמקרה של חיוב חוזר גם שומרות אותם, מחויבות ברמה 1
בסוף אין פה קסם, אם יש לך iframe של upay לדוגמה אז אתה שולח את פרטי האשראי שלך לשרת של upay בצורה מוצפנת מקצה לקצה (TLS), כלומר מוצפנת כך שרק upay תוכל לקרוא אותם. אם בעל העסק מקבל טוקן לחיוב - אז upay גם שומרת באופן קבוע את פרטי האשראי בשרתים שלה. שים לב שלא השוויתי בין עלי לבעל חנות בגדים אלא בין עלי לספק סליקה ישראלי.

@סוף-הרחוב כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

ולגהי הפיסקה השניה: אני גם לא יודע למי יש יותר לקוחות.. מה שאני כן יודע, שאם אני הקטן משלם 18$ לחודש לגוגל, אני משוכנע שיש עוד מאות אלפי ויותר של בעלי עסקים שמשלמים את אותו הסכום וצפונה...

לעלי יש מאות מליוני לקוחות פעילים (ואצלם אין לקוחות שמקבלים שירותים בחינם תמורת פרסומות - בשונה מגוגל)

[סוף הרחוב]

@צדיק-תמים כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

@סוף-הרחוב כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

לחברות הסליקה אין שום גישה לפרטי האשראי של הלקוח! גם לא לחברה עצמה. וזה בעצם תקן pci שחברות האשראי מחייבות, חוץ מתעודת ssl על האתר או הלינק המפנה לדף התשלום.. ולכן חברה, גדולה ככל שתהיה, שמנהלת לעצמה את סליקת האשראי שלה, גם אם יש לה מליארד לקוחות ולמקבילה שלה שמשתמשת עם שירותי הצפנה יש לקוח אחד, אצל השניה יהיה בטוח יותר, כי מהשניה אין שום אפשרות טכנית לדליפה, בשונה מחברה שמנהלת את הסליקה שלה עצמאית, בלי קשר לגודל שלה..

לתקן PCI יש רמות, חברות סליקה בדיוק בגלל שהן כן מקבלות את פרטי האשראי הגולמיים, ובמקרה של חיוב חוזר גם שומרות אותם, מחויבות ברמה 1
בסוף אין פה קסם, אם יש לך iframe של upay לדוגמה אז אתה שולח את פרטי האשראי שלך לשרת של upay בצורה מוצפנת מקצה לקצה (TLS), כלומר מוצפנת כך שרק upay תוכל לקרוא אותם. אם בעל העסק מקבל טוקן לחיוב - אז upay גם שומרת באופן קבוע את פרטי האשראי בשרתים שלה. שים לב שלא השוויתי בין עלי לבעל חנות בגדים אלא בין עלי לספק סליקה ישראלי.

ידידי, אתה טועה.

• לחברת הסליקה אין את פרטי האשראי!! יש להם 4 ספרות אחרונות ועוד כמה פרטים (שאותם יש גם לבית העסק...), את פרטי האשראי הקריטיים לביצוע עיסקה, כלומר: כל ספרות הכרטיס (שזה בעצם מה שרלוונטי לדיון), אין להם.

• אין קשר למערכת חיוב חוזר, כי זו פעולה נפרדת מפעולת סליקה רגילה (שעליה אנחנו בעצם מדברים, כשאני רוכש מוצר), זו מערכת שביודעין הלקוח מזין את פרטי האשראי שלו למערכת שאין בה את ההצפנה של הסליקה, אלא זה בסה"כ מערכת של הוראת קבע, שפרטי האשראי גלויים (בחלק מן החברות) גם לבית העסק בעצמו, בשביל שיוכל לחייב שוב.. וזה בדיוק כמו שאתה מגיש לעסק את פרטי האשראי כתובים על נייר...

• אין קשר אם יש לך דף סליקה חיצוני מופנה או iframe..
  iframe זה בסה"כ חלונית סליקה מוטמעת באתר העסק לא יותר, ואם יש הצפנה, היא ישנה גם בiframe.

[cfopuser]

לא יודע איזה צד אני לוקח אבל תקן PCI מאוד מחמיר ועבירה עליו זה או קנסות של 50 או 100 אלף דולר או אפילו חסימה מסליקה
לכן ברגע שהכסף עבר לא משנה איזה חברה הנתונים ימחקו וגם אם הלקוח רוצה שהנתונים ישמרו הנתונים אמורים להיות שמורים
ומוצפנים או שלא יהיה גישה לעובדים

הסיבה להשתמש בPaypal (וכול הסיבה שמשתמשים בה מההתחלה) זה במקרה שקונים ממוכרים לא אמינים ואז תמיד יהיה את Paypal כאיום
על המוכר (שלא יוכל לקבל יותר כסף Paypal וכו' וכו') אם לא יחזיר את הכסף

חברות קטנות משתמשות בUpay וכדומה רק בגלל נוחות ושזה משתלם אין שום קשר לאבטחה

נ.ב
הפוסט הזה יצא מהקשר לשאלה המקורית אבל אני רוצה להוסיף בכול מקרה שPCI זה סטנדרט בין לאומי של חברות אשראי אז
גם בישראל הוא קיים

[צדיק תמים]

@סוף-הרחוב במקום להגיב לטענה טענה כמו רוכל אני אעשה לך קצת סדר, אני אתמקד בסליקה של עסקים ולא בארנקים דיגיטליים

תהליך התשלום מורכב מהגורמים העיקריים:

• לקוח
• סוחר (בעל החנות - Merchant)
• שער תשלום (Payment Gateway)
  אחראי רק לממשק הסליקה
  לפעמים זה אותה חברה שמספק את שירותי התשלום, לדוגמה: upay, טרנזילה, Stripe
  לפעמים נפרד, לדוגמה: נדרים פלוס, sumit
• מעבד תשלום (Payment Processor)
  לדוגמה: טרנזילה, upay
  הוא מתחבר בפועל לסולק, מטפל בהעברת הכסף לסוחר וכו'
• סולק (Acquirer)
  לדוגמה: כאל, מקס, ישראכרט
• רשת כרטיסים (Card Network)
  בעיקר ויזה ומאסטרכארד העולמיות, יש שחקני נישה כמו אמריקן אקספרס ודינרס
• מנפיק כרטיס (Issuer)
  לדוגמה: כאל, מקס, ישראכרט, בנקים
  מבוסס על אחת מרשתות הכרטיסים העולמיות, הוא זה שנותן את האשראי בפועל אם זה לא כרטיס חיוב מיידי debit (אשראי במונח המקצועי שלו, כלומר ההלוואה עצמה) והוא זה שמחליט אם לכבד עסקה או לא כי היא חשודה, אין כיסוי

---

טוקניזציה: יש 2 סוגים (שניהם מוגבלים לסוחר הספציפי):
טוקן רשת: טוקניזציה שמתבצעת ברמת רשת התשלום, היא בעצם מחליפה את הפרטי אשראי הנוכחיים (מספר, תוקף, קוד אימות, מכונה Primary Account Number או בקיצור PAN) במעין מזהה וירטואלי, כך שגם אם נניח תוקף האשראי פג וחברת האשראי מנפיקה לי כרטיס עם אותו מספר וטוקן חדש, הטוקן רשת ימשיך לעבוד
לדוגמה כשהנפקתי מחדש את הכרטיס שלי שהתבלה עם תוקף חדש, גוגל הודיעו לי שהם קיבלו עדכון מ“הבנק שלי” על התוקף החדש והכרטיס ימשיך לעבוד - הקסם מאחורי זה הוא הטוקן רשת

טוקן פנימי: טוקן שספק שירותי הסליקה מנפיק, מזהה אקראי שמאפשר לסוחר לבצע חיוב יזום בלי להיחשף לפרטי האשראי עצמם
טכנית וחוקית גם שער התשלום יכול לשמור את פרטי האשראי ולבצע את הטוקניזציה מול הסוחר

---

הiframe/redirect בא רק למנוע גישה מבעל האתר, הסוחר, לפרטי האשראי הגולמיים

ההצפנה שרואים בדפדפן, TLS, מה שמכנים SSL, היא רק בין הדפדפן לשער התשלום ושם היא מסתיימת ושער התשלום חשוף לפרטי האשראי הגולמיים והמלאים

תקן PCI DSS חל על צד השרת, ולכן כל מי שהשרת שלו לא חשוף בשום שלב לפרטי האשראי עצמם פטור כמעט לגמרי (יש כמה צעדים שקל מאוד לעמוד בהם ולא דורשים ביקורת חיצונית), אחרת הוא חייב, יש כמה רמות בתקן בהתאם להיקפי הסליקה שעוברים דרכו
לדוגמה הסוחר פטור כי הוא מחזיק רק בטוקן, כנ"ל אם אני אפתח ספק שירותי תשלום כמו נדרים פלוס אבל בשונה מהם אני כבר בדפדפן של המשתמש אשלח את הפרטי אשראי לטוקנייזר של Stripe, אני לא אצטרך לעמוד כמעט בשום דרישה

[cfopuser]

@סוף-הרחוב כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

לא קונים בעלי אקספרס שלא דרך פייפאל.
ולא בשום אתר, אלא אם דף הסליקה מאובטח ומוצפן ע"י חברה מוכרת.

זה לא מדויק ודי לא נכון זה כול מה שרציתי לומר

תקן PCI נבדק על ידי חברות אשראי
ואפשר להשתמש בחוסר שלו בבתי משפט לתוספת ניכרת של קנס במקרים של חיובים שקריים

@צדיק-תמים תודה שהוספת מידע על הרמות בתקן PCI למרות שגם ברמה הנמוכה הוא מספיק טוב

[צדיק תמים]

@cfopuser כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

@סוף-הרחוב כתב בבירור | האם אלי אקספרס שומרת נתוני אשראי?:

לא קונים בעלי אקספרס שלא דרך פייפאל.
ולא בשום אתר, אלא אם דף הסליקה מאובטח ומוצפן ע"י חברה מוכרת.

זה לא מדויק ודי לא נכון זה כול מה שרציתי לומר

תקן PCI נבדק על ידי חברות אשראי
ואפשר להשתמש בחוסר שלו בבתי משפט לתוספת ניכרת של קנס במקרים של חיובים שקריים

@צדיק-תמים תודה שהוספת מידע על הרמות בתקן PCI למרות שגם ברמה הנמוכה הוא מספיק טוב

בכלל לא דיברתי על הרמות בתקן, ההבדלים בין 4 הרמות בתקן הם בעיקר ברמת ותדירות הפיקוח החיצוני, מי שקובע את רמת התקן הנדרש זה היקפי העסקאות המעובדות או החלטה של רשת התשלומים

אם אני רק מפנה לספק תשלום חיצוני (או מטמיע אותו בiframe) יש פטור ואפשר רק למלא שאלון מקוצר שאתה בגדול מקפיד על אבטחה מינימלית ואין שום בדיקה חיצונית

מה שהוא כתב (מלבד העניין של פייפאל בעלי שלזה יש סיבה גם בלי קשר לאבטחה) זה שלא להשתמש בשירותי סליקה שלא מעבירים/מטמיעים שער סליקה חיצוני וזה מאוד נכון באתרים עם היקפי סליקה רגילים כי אין סיבה הגיונית לחנות להיות שער סליקה וכ"ש שלא להיות מעבד תשלום בעצמה, אבל כשאתה סולק מליארדי עסקאות בשנה זה כבר מאוד הגיוני